首页
社区
课程
招聘
[旧帖] 请教 去除千千静听的自校验 0.00雪花
发表于: 2010-7-5 23:26 6347

[旧帖] 请教 去除千千静听的自校验 0.00雪花

2010-7-5 23:26
6347
在学习去广告时碰到的问题

将ttpres.dll里的资源任意改一个字符          都会出现

load resource ttpres.dll failed,please resetup this program

不知道是 CRC还是MD5校验
这问题早在07年有人在看雪上提过   
http://bbs.pediy.com/showthread.php?t=46893
但没有解决答案

请教高手如何去除这个问题,并且我替换好资源后    有办法再回复这个自校验么?

[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课

收藏
免费 0
支持
分享
最新回复 (17)
雪    币: 13
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
去网上下载个破解版的不就可以
2010-7-6 00:53
0
雪    币: 719
活跃值: (128)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
3
网上有就好了
这个软件本身就是免费的
谁去破解他呢!
2010-7-6 08:46
0
雪    币: 412
活跃值: (732)
能力值: ( LV9,RANK:170 )
在线值:
发帖
回帖
粉丝
4
我随便扫了下没有看到MD5
去广告好像不会有这些问题吧!我是直接用Winhex打开,然后找unicode的http:再看哪个地址可疑,就用0填掉!
2010-7-6 09:21
0
雪    币: 719
活跃值: (128)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
5
回楼上的
因为我想把他的默认皮肤换掉
默认皮肤就在那个DLL里
可是那个DLL任意改个字符都会出错
不解      怎么去除这个自校验!
2010-7-6 09:48
0
雪    币: 359
活跃值: (41)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
6
我跟踪了一下ttplayer5.6.0.0,完全没壳,很容易分析。
校验代码在exe里面,但校验值在dll里面,在第0x24字节开始的四字节是校验码。可以爆破,在exe的0x4b0251处有一个je,改成nop就去了自校验。
一般这种有MessageBox弹出来的分析方法都很简单,首先用OD载入,F9运行,弹出错误提示,点OD上面的暂停运行,找调用堆栈,找到最近一个exe空间的返回地址,跟过去,往上找函数入口(push ebp;mov ebp, esp),下断后再次运行,跟踪一下就万事大吉。
不过难得ttplayer都完全免费了,拿来练手还行,改了别人的东西发出去就不厚道了。
2010-7-6 10:12
0
雪    币: 719
活跃值: (128)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
7
谢谢楼上的朋友,可否留个邮箱或者QQ,我在去除他的自动更新,用的你方法,下断后无法继续运行
我把我想破解的 两个版本放在中转站里,麻烦你帮我破解下可以么?
我的邮箱是 regal2002@163.com
先谢谢了!

a6fK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8X3#2S2K9h3I4Q4x3X3g2I4M7g2)9J5k6h3y4G2L8g2)9J5c8X3y4Y4K9g2)9J5k6r3u0A6L8W2)9J5c8X3k6@1L8V1g2^5M7#2)9#2k6X3c8G2N6$3&6D9L8$3q4V1i4K6y4r3K9#2)9K6c8o6M7&6x3K6t1K6y4e0x3$3y4r3g2T1x3X3b7#2j5K6W2U0y4$3f1%4y4e0p5K6y4U0b7K6y4U0f1H3j5U0p5&6x3r3f1H3y4e0f1$3y4e0f1H3y4U0f1$3y4h3j5#2x3K6p5@1x3o6b7H3y4e0f1H3x3o6l9@1z5o6m8V1x3o6j5H3x3e0l9@1x3e0R3#2y4o6f1H3y4h3x3#2k6o6q4T1x3r3j5#2y4U0l9$3x3o6t1H3y4o6f1I4x3r3t1H3k6U0m8W2x3o6b7#2y4o6l9%4y4U0f1$3k6e0x3&6y4K6M7@1j5U0f1I4y4h3b7#2k6U0p5K6x3o6l9I4y4K6b7@1y4e0R3@1x3o6x3#2x3r3u0Q4x3U0k6@1i4K6y4p5k6i4S2K6i4K6g2X3k6Y4c8F1i4K6g2X3k6r3!0%4L8X3I4G2j5h3c8Q4x3U0k6U0L8$3c8W2i4K6y4p5z5e0t1#2y4X3g2W2z5e0j5`.
2010-7-6 11:07
0
雪    币: 359
活跃值: (41)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
8
自动更新设置里面就可以改成不更新啊,还要破解干嘛?
2010-7-6 13:53
0
雪    币: 719
活跃值: (128)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
9
他默认是  自动更新的
我只是想照着自己的想法去改
请教了!
2010-7-6 14:03
0
雪    币: 359
活跃值: (41)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
10
你上传的只有一个exe带两个dll,这没法调试的。
就以5.6.0.0为例,我没发现它自动更新的啊。

你是想让这个默认选择到“不检查”一栏么?
上传的附件:
  • a.PNG (49.57kb,121次下载)
2010-7-6 14:27
0
雪    币: 719
活跃值: (128)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
11
是的   我知道他的设置是保存在XML里
我是想在资源把这个自动更新去掉,默认就没有自动更新
因为我选择5.0的原因是   5.0后的版本就加入了在线功能
所以就不打算有更新了!
2010-7-6 14:38
0
雪    币: 719
活跃值: (128)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
12
好了
用了你的第一个方法
自校验去了

但是有个不解的地方你说的自检是从0x24后开始的
那我想问这后面的4个字节究竟是什么呢
还有我把其他版本的DLL复制到这个版本也能运行    但他们的这4个字节并不一样呀
2010-7-6 14:50
0
雪    币: 359
活跃值: (41)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
13
0x24-0x27这四字节是检验值,从哪里开始算倒没注意。
5.6.0.0它是先用CreateFile打开ttpres.dll,然后CreateFileMapping+MapViewOfFile把文件映射到内存,然后一小段代码算啊算,算完以后出来,把返回值eax和0x24-0x27这四个字节作比较(不爆破只改这四字节为那时eax的值也是可以运行的,所以应该是从之后才开始检验的),再返回,就是je了。原理就是不同的dll有不同的检验值,拷过去能运行并不奇怪。
如果想把资源里面的自动更新去掉,可以用VC打开,到对话框资源里面找,5.6.0.0的ID是250,设为不可见就行。至于去掉更新功能,可能要跟踪一下立即检查对应的按钮事件了。这个就没兴趣深入研究了。
2010-7-6 15:39
0
雪    币: 719
活跃值: (128)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
14
谢谢你
最后一个问题,你在6楼所写的两种方法有什么区别吗?
我用了第一种方法
第二中断点 后就运行不了了
2010-7-6 15:45
0
雪    币: 359
活跃值: (41)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
15
6L我只说了一种方法吧?
先是说了结论,比如0x4b0251的je改成nop,后来说了得出这个结论的方法。
至于中断后不能运行,可能你方法不对,这时候已经不需要继续运行了。在弹出出错框后,暂停运行,然后到调用堆栈里面找调用返回地址,再往上回溯,找函数入口加断点,重新运行这个exe再跟踪,那个0x4b0251就是用这种方法找到了。
2010-7-6 16:42
0
雪    币: 719
活跃值: (128)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
16
真的很感谢你

我又碰到一个问题
程序里面还有一个自校验,麻烦留个Q 或邮箱好不

就是我把ttpres.dll资源里的    字符串  编号9     那个千千静听       改成了千千静听经典版又弹出了那 个提示!
load resource ttpres.dll failed,please resetup this program
2010-7-6 22:43
0
雪    币: 101
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
17
何必呢,找个别的软件试下啊,知道你的想法是想自己更改里面的设置,用OD吧.
2010-7-7 00:28
0
雪    币: 719
活跃值: (128)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
18
不是第一个问题了,
在修改的时候又出现了自校验!
2010-7-7 09:48
0
游客
登录 | 注册 方可回帖
返回